Descubren múltiples fallos de inyección SQL en una plataforma de gestión de exámenes de código abierto

La base de datos de vulnerabilidades de ciberseguridad VulDB publicó tres avisos de seguridad el 17 de octubre de 2026, documentando un conjunto de fallos de inyección de lenguaje de consulta estructurado (SQL) descubiertos en la plataforma de código abierto Online-Examination-System, desarrollada por el programador itsmeravitejak. Las divulgaciones identifican vulnerabilidades que afectan al software en todas las versiones hasta el commit de código e6208e630b14657999bbfe4c9912302d2a1e2449. Catalogadas formalmente como CVE-2026-111871, CVE-2026-111872 y CVE-2026-111873, las debilidades abarcan tres archivos operativos responsables de la administración de asignaturas, la generación de informes de base de datos y la gestión asíncrona de exámenes. Los hallazgos indican que las entradas sin validar procesadas por la aplicación pueden permitir la manipulación directa de instrucciones en la base de datos de respaldo, lo que genera riesgos de divulgación no autorizada de datos y manipulación administrativa.

## Datos clave

- La plataforma de documentación de ciberseguridad VulDB publicó avisos sobre tres fallos de seguridad relacionados el 17 de octubre de 2026. - Las vulnerabilidades están catalogadas bajo las entradas oficiales CVE-2026-111871, CVE-2026-111872 y CVE-2026-111873. - El software afectado es la plataforma de código abierto Online-Examination-System desarrollada por itsmeravitejak, hasta el commit de git e6208e630b14657999bbfe4c9912302d2a1e2449. - Los fallos afectan a tres archivos independientes de la aplicación: subjectsdb.php, database.php y exammanger.php. - Entre las rutinas operativas vulnerables se encuentran la función getreport en database.php y el endpoint asíncrono topicslist dentro de exammanger.php.

## Qué ocurrió

En una serie de registros coordinados de vulnerabilidades el 17 de octubre de 2026, analistas de seguridad de VulDB documentaron tres fallos técnicos integrados en la aplicación Online-Examination-System. El código afectado pertenece al repositorio público mantenido por itsmeravitejak, evaluado hasta el hash de commit e6208e630b14657999bbfe4c9912302d2a1e2449.

El primer aviso, documentado bajo CVE-2026-111871, identifica una debilidad de inyección de lenguaje de consulta estructurado ubicada en el script subjectsdb.php. Según la documentación técnica publicada por VulDB, el archivo gestiona operaciones vinculadas al almacenamiento y modificación de registros de asignaturas. El tratamiento de parámetros sin sanear dentro de este componente permite que las instrucciones de la base de datos se vean ampliadas mediante entradas externas no autorizadas.

Segundos después, una divulgación relacionada registrada como CVE-2026-111872 reveló una debilidad comparable dentro de database.php. VulDB informó de que la vulnerabilidad afecta específicamente a la función getreport, un mecanismo utilizado por la plataforma para consultar, recopilar y generar métricas de informes. Cuando los campos de entrada dirigidos a esta función no se someten a una estricta validación del tipo de datos o a un filtrado de escape, un atacante puede anexar comandos de consulta estructurada directamente al motor de la base de datos subyacente.

El tercer aviso, catalogado como CVE-2026-111873, se centra en un endpoint de JavaScript y XML asíncronos situado en exammanger.php. Según detalla VulDB, la vulnerabilidad afecta a la rutina topicslist. Dado que los endpoints asíncronos intercambian con frecuencia datos con las interfaces de cliente en segundo plano, el filtrado inadecuado de los parámetros de consulta transmitidos a través de este endpoint permite a actores externos ejecutar sentencias arbitrarias de base de datos.

Los tres informes de vulnerabilidad atribuyen el problema de programación subyacente a un aislamiento insuficiente entre las instrucciones ejecutables y los datos suministrados por el usuario en el código web heredado en PHP. En cada caso, las entradas controladas por el usuario pueden sobrepasar el límite operativo previsto y forzar al intérprete de la base de datos a ejecutar fragmentos de consulta no autorizados.

## Por qué es importante

La identificación de múltiples vulnerabilidades de inyección en bases de datos dentro de una plataforma de evaluación educativa plantea graves riesgos de seguridad para instituciones académicas y centros examinadores que implementan software de exámenes autoalojado. Las plataformas de evaluación gestionan flujos de trabajo académicos confidenciales, incluidos repositorios de preguntas, hojas de respuestas activas, métricas de calificaciones de estudiantes y credenciales administrativas. Cuando una plataforma de evaluación presenta fallos de acceso a la base de datos no autenticados o con restricciones deficientes, la integridad de todo el proceso de evaluación queda en entredicho.

Las vulnerabilidades de inyección en bases de datos, clasificadas en los marcos del sector bajo la entrada CWE-89 de Common Weakness Enumeration, permiten a entidades externas eludir los controles de autenticación estándar, extraer registros almacenados y alterar el contenido de las tablas. En un entorno de exámenes, una persona que explote CVE-2026-111871, CVE-2026-111872 o CVE-2026-111873 podría, en teoría, obtener preguntas de examen aún no publicadas antes de las convocatorias programadas. Del mismo modo, la capacidad de escribir en la base de datos subyacente permite la modificación ilícita de los resultados de pruebas, expedientes académicos o niveles de permisos de usuario.

Más allá del fraude académico, el compromiso de las bases de datos de estudiantes y docentes conlleva exposición regulatoria y legal. En jurisdicciones regidas por legislaciones estrictas de privacidad, como la Unión Europea bajo el Reglamento General de Protección de Datos o Estados Unidos bajo la Ley de Derechos Educativos y Privacidad Familiar, las organizaciones educativas se enfrentan a severas sanciones administrativas si la información de identificación personal de los estudiantes queda vulnerable a la exfiltración debido a defectos de software evitables.

## Contexto

La inyección de lenguaje de consulta estructurado se ha mantenido durante más de dos décadas entre las debilidades de seguridad más persistentes en el desarrollo de software web. Documentado por primera vez en la literatura técnica a finales de la década de 1990, este patrón de vulnerabilidad ha ocupado sistemáticamente una posición destacada en la lista Top 10 del Open Worldwide Application Security Project sobre riesgos críticos en aplicaciones web. A pesar de la abundante documentación y de las soluciones de ingeniería consolidadas, las aplicaciones web construidas mediante código procedural básico en PHP suelen adolecer de este tipo de defecto.

La mitigación habitual en la industria contra la inyección de lenguaje de consulta estructurado se basa en sentencias parametrizadas, comúnmente implementadas mediante PHP Data Objects o consultas preparadas con la extensión MySQL improved. Cuando se despliegan sentencias preparadas, el sistema de gestión de bases de datos trata los parámetros entrantes estrictamente como literales de datos pasivos en lugar de sintaxis ejecutable, anulando cualquier intento de modificación de la consulta. Las aplicaciones que, por el contrario, dependen de la concatenación directa de cadenas para construir comandos de base de datos continúan siendo intrínsecamente vulnerables siempre que las funciones de saneamiento de entradas se omitan, sean incompletas o se eludan.

El seguimiento internacional de fallos de seguridad se coordina a través del sistema Common Vulnerabilities and Exposures, supervisado por MITRE Corporation con el patrocinio de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos. Las autoridades de numeración de CVE autorizadas asignan identificadores alfanuméricos únicos a los defectos verificados, lo que permite a mantenedores de software, operadores de redes empresariales y personal de respuesta a incidentes rastrear, indexar y corregir fallos técnicos.

Plataformas independientes y servicios de indexación de seguridad, entre ellos VulDB, catalogan periódicamente vulnerabilidades descubiertas por investigadores independientes y herramientas automatizadas de escaneo de código. Mientras que las grandes plataformas comerciales mantienen programas específicos de divulgación de vulnerabilidades, las utilidades de código abierto de menor tamaño y los proyectos independientes distribuidos a través de repositorios públicos como GitHub a menudo carecen de procedimientos estructurados de revisión de seguridad, dejando las implementaciones a expensas de auditorías de seguridad de terceros.

## Reacciones

El mantenedor del proyecto, itsmeravitejak, no ha emitido declaraciones públicas formales, avisos defensivos ni boletines de seguridad en respuesta a las publicaciones de VulDB. Los avisos iniciales no incluían comentarios del propietario del repositorio ni hacían referencia a ninguna solicitud de extracción pública existente que solucione los scripts vulnerables.

Dado que los proyectos de código abierto en plataformas de alojamiento colaborativo suelen operar sin departamentos de prensa formales ni equipos de respuesta dedicados, la comunicación sobre actualizaciones de seguridad suele desarrollarse en los rastreadores de problemas de los repositorios públicos o en los historiales de commits. Se espera que los administradores de red y los equipos técnicos académicos que utilicen el software revisen las instalaciones de sus servidores, apliquen controles de acceso a la red local y supervisen la actividad del repositorio en busca de futuros parches.

Los analistas de seguridad que supervisan vulnerabilidades en software educativo recomiendan con frecuencia que los operadores de sistemas implementen capas de protección externas, como cortafuegos de aplicaciones web, para detectar y bloquear sintaxis maliciosa de consultas estructuradas antes de que alcance endpoints vulnerables en servidores de aplicaciones sin parches.

## Lo que aún no se sabe

Varios aspectos prácticos relativos al descubrimiento y la exposición en el mundo real de estos fallos siguen sin verificarse. Las divulgaciones iniciales de VulDB no especifican si las vulnerabilidades fueron descubiertas mediante análisis automatizado de código fuente, pruebas de penetración manuales o explotación activa detectada en entornos operativos. En consecuencia, se desconoce si actores maliciosos han aprovechado estos endpoints específicos contra servidores de exámenes en producción.

Además, los informes no cuantifican cuántas instituciones, escuelas o administradores individuales utilizan activamente el código de Online-Examination-System desarrollado por itsmeravitejak. Aunque los repositorios públicos de git indican el historial de revisiones del código hasta el commit e6208e630b14657999bbfe4c9912302d2a1e2449, el número de instalaciones activas conectadas a internet sigue sin documentarse.

Tampoco está claro si se integrará un parche de seguridad oficial en el repositorio principal o si los operadores de sistemas deberán refactorizar manualmente subjectsdb.php, database.php y exammanger.php para implementar consultas preparadas de base de datos de manera independiente.

## A qué prestar atención

La principal novedad a la que estar atentos es si el mantenedor publica commits de software actualizados que reemplacen el ensamblaje dinámico de consultas por interacciones parametrizadas en la base de datos en los archivos afectados. Los usuarios del repositorio deben seguir la actividad de commits posterior al hash e6208e630b14657999bbfe4c9912302d2a1e2449 en busca de correcciones de seguridad.

En el ámbito más amplio de la gestión de vulnerabilidades, los observadores deben permanecer atentos a la publicación de métricas estandarizadas del Common Vulnerability Scoring System para CVE-2026-111871, CVE-2026-111872 y CVE-2026-111873. Estas puntuaciones de gravedad, asignadas por evaluadores de vulnerabilidades y replicadas por instituciones como la Base de Datos Nacional de Vulnerabilidades de Estados Unidos, establecen las calificaciones de explotabilidad e impacto de referencia utilizadas por comprobadores automatizados de cumplimiento normativo.

Los equipos de seguridad que gestionan entornos de examen autoalojados también deben vigilar la aparición de scripts públicos de explotación de prueba de concepto dirigidos al endpoint AJAX topicslist de exammanger.php o a la función getreport de database.php, lo que elevaría de forma significativa la urgencia de una remediación manual del código.

Esta información se basa en los reportes técnicos de vulnerabilidades publicados por VulDB en las entradas de su catálogo de seguridad el 17 de octubre de 2026.